Un'applicazione web che ho sviluppato ha un nuovo caso d'uso che mi ha spinto a cercare qualcosa di più semplice dell'autenticazione tramite nome utente / password.
Gli utenti attuali non si iscrivono al servizio in quanto è un servizio b2b utilizzato dalle loro società, quindi per l'autenticazione standard con nome utente / password inviamo loro il loro nome utente e una password temporanea monouso via e-mail. Sono tenuti a cambiare la loro password e accettare le condizioni d'uso al primo accesso.
Per questo nuovo caso d'uso, alcuni sottoinsiemi di utenti immetteranno dati solo durante un periodo di 90 giorni che si verifica una volta all'anno. Il più delle volte questo significa che lo faranno solo per un giorno, forse due, un anno.
Perché sarà facile per loro dimenticare la password che hanno impostato dopo aver effettuato l'accesso con la password temporanea. Vorrei provare qualcosa come un URL univoco che scade. L'URL deve essere valido per 90 giorni (o almeno fino a quando non hanno terminato di inserire i propri dati se possiamo capire come misurarlo).
Ogni anno ricevono una nuova email con URL univoco per iniziare quel periodo di 90 giorni.
Gli svantaggi di sicurezza qui sono quelli tipici:
- L'URL univoco si presenta nei segnalibri e nella cronologia del browser
- L'URL univoco si presenta nei log del server
- L'utente potrebbe inoltrare l'e-mail a un'altra casella e il messaggio non verrà trasportato in modo sicuro.
- È necessario proteggersi dall'iniezione SQL nell'URL
Normalmente gli schemi URL unici sono validi per brevi periodi come 24 ore, quindi sono preoccupato che un periodo di 90 giorni sia troppo lungo.
Per quanto riguarda i rischi: se una persona non autorizzata ottiene l'accesso ci sarebbe molto poca perdita di informazioni (e certamente nulla che sia PII) ma ci sono ancora alcune preoccupazioni di "perdita di fiducia".
È abbastanza sicuro? In caso contrario, ci sono altri metodi di autenticazione che potremmo usare qui?